首页
论坛
课程
招聘
[原创]0基础也能看懂的函数栈结构分析
2020-8-9 18:46 5034

[原创]0基础也能看懂的函数栈结构分析

2020-8-9 18:46
5034

0基础也能看懂的函数栈结构分析--科锐一阶段学员笔记

0x01 就给一张图,你能看出啥?

新手上路,被老师难住。
题曰:看图写结论,写一条得10分,不及格的统统参加补课呀!
图曰:(如图1)

图1

0x02 打眼一看,云遮雾罩

就看见:
1.左边一溜0018XXXX;
2.中间几片CCCCCCCC;
3.右边有几个认识的字母,比如“hell”。
然而:就看见3条,还得不出结论,怎么能及格?!Oh,What the hell!到底有什么子丑寅卯?

0x03 仔细思量,大有乾坤

看整体布局,有内存地址、有十六进制数据、有字符,初步判断这张图片貌似是用WinHex之类的工具抓取的内存片段。内存里都有啥?代码、数据、栈、堆。那这一段像啥?且瞧瞧去。

1. 找标志性信息

1.1 0018XXXX

0018开头的内存地址是Win7系统栈空间在VC6下的特征,如图2。

图2
VC6下,类似的特征值还有:
WinXP-0x0012XXXX
Win10-0x0019XXXX
在VS的环境下,由于引入了内存地址随机化机制,我们就不能看到固定的特征地址了。

1.2 0xCCCCCCCC

函数局部变量初始化为一片0xCCCCCCCC,符合debug版的特性,这是编译环境为我们调试程序赋予的便利。
有4片0xCCCCCCCC(如图3),说明有4个函数。

图3

1.3 栈底

18FF88、18FF48、18FED4、18FE74,貌似一串连续的栈底(如图4),形成4个栈结构,且存在函数的嵌套调用,因为四个栈堆起来,如果不是嵌套调用,一个函数执行完毕,栈空间会释放掉,调用下一个函数时,栈还在原来的位置,就不会堆起来。

图4

2. 回顾函数调用过程,逐一分析四个函数

2.1 函数调用过程

1.按调用约定传递参数
2.保存返回代码的地址
3.流程转移到被调方代码处
4.保存调用方的栈底
5.更新栈环境为被调函数位置
6.为局部变量申请空间
7.保存CPU环境(/Zi 稳定保存12字节)
8.执行函数体
9.恢复CPU环境
10.释放局部变量空间
11.恢复调用方的栈底
12.取出当前栈顶作为返回地址
13.如果是_stdcall或者_fastcall约定,则此时释放参数空间
14.函数返回,流程回到调用方(如果是__cdecl,则此时释放参数空间)

## 2.2 简化过程

本图中,由于只体现了函数被调用过程,没有被执行之后的过程,所以简化为:
1.参数入栈
2.返回地址入栈
3.保存栈底
4.变量入栈
5.保存CPU环境(/Zi 稳定保存12字节)
此时,便能按图索骥,去把云里雾里的一片不知道什么鬼,变成可读的、有意义的信息吧!

2.3 main函数

要知道,main函数是程序员的入口,可不是程序的真正入口,它也是被调用的,它的调用方是mainCRTStartup。main函数有三个参数:命令行个数、命令行字符指针数组、环境变量字符指针数组。三个参数的特征是,第一个是整型十六进制值,后两个是指向堆空间的、离得不太远的两个地址(如图5)。

图5
1.参数入栈--------------------------------------01 00 00 00 B8 0F 2D 00 50 10 2D 00
2.返回地址入栈-------------------------------------------------------------------B9 12 40 00
3.保存栈底-------------------------------------------------------------------------88 FF 18 00
4.变量入栈---------------------------------------------------42 CC CC CC --0A 00 00 00
5.保存CPU环境(/Zi 稳定保存12字节)-----00 00 00 00 00 00 00 00 00 E0 FD 7E
翻译一下:
1.三个参数说明是main函数,命令行个数是1个,命令行字符指针数组和环境变量字符指针数组的首地址分别为0x002D0FB8和0x2D1050;
2.main函数返回地址是0x004012B9;
3.调用方栈底是0x0018FF88;
4.变量看形式有5个,1个int型0A 00 00 00(值为10),1个char型字符串68 65 6C 6C 00(内容为“hell”,00为字符串结束字符‘\0’),1个double型33 33 33 33 33 33 2F 40(值为15.6),1个float型00 00 28 41(值为10.5),1个char型0x42(值为‘B’);
5.当前CPU三个寄存器的值分别为0x7EFDE000、0x00000000、0x00000000。
从main函数自下至上,三个函数暂时称作fun1、fun2、fun3(先声明,再使用)。

2.4 fun1

fun1被main函数调用,栈结构如图6。

图6
1.参数入栈--------------------------------------------------------------------------2C FF 18 00
2.返回地址入栈---------------------------------------------------------------------02 11 40 00
3.保存栈底--------------------------------------------------------------------------48 FF 18 00
4.变量入栈-------------------------------------------------------CD CC 5C 41 0A 00 00 00
5.保存CPU环境(/Zi 稳定保存12字节)------48 FF 18 00 00 00 00 00 00 E0 FD 7E
翻译一下:
1.参数是0x0018FF2C,是指向main函数char型变量的地址,由此可以推断main函数的5个变量有可能是一个结构体的5个成员,否则,仅仅传地址要么造成后面的变量无意义,要么造成不合理的指针运算;
2.fun1函数返回地址是0x00401102;
3.fun1函数的调用方main函数的栈底是0x0018FF48;
4.变量有两个,1个int型0A 00 00 00(值为10),1个float型CD CC 5C 41(值是13.8f);
5.当前CPU三个寄存器的值分别为0x7EFDE000、0x00000000、0x0018FF48,此时fun1的栈顶被更新为其栈底保存的值。

2.5 fun2

fun2被fun1函数调用,栈结构如图7。

图7
1.参数入栈--------------------------------------------------------------------------0A 00 00 00
2.返回地址入栈---------------------------------------------------------------------95 10 40 00
3.保存栈底--------------------------------------------------------------------------D4 FE 18 00
4.变量入栈--------------------------------------------------------CD CC 64 41 14 00 00 00
5.保存CPU环境(/Zi 稳定保存12字节)-----D4 FE 18 00 00 00 00 00 00 E0 FD 7E
翻译一下:
1.参数是0x0A000000(值为0000000A);
2.fun2函数返回地址是0x00401095;
3.fun2函数的调用方fun1函数的栈底是0x0018FED4;
4.变量有两个,1个int型14 00 00 00(值为20),1个float型CD CC 64 41(值是14.3f);
5.当前CPU三个寄存器的值分别为0x7EFDE000、0x00000000、0x0018FED4,此时fun2的栈顶被更新为其栈底保存的值。

2.6 fun3

fun3被fun2函数调用,栈结构如图8。

图8
1.参数入栈-------------------------------------------------------14 00 00 00 CD CC 64 41
2.返回地址入栈--------------------------------------------------------------------43 07 41 00
3.保存栈底--------------------------------------------------------------------------74 FE 18 00
4.变量入栈-------------------------------------------------------CD CC 74 41 1E 00 00 00
5.保存CPU环境(/Zi 稳定保存12字节)-----74 FE 18 00 00 00 00 00 00 E0 FD 7E
翻译一下:
1.参数有两个,一个是0xCD CC 64 41(值为14.3f);
2.fun3函数返回地址是0x00410743;
3.fun3函数的调用方fun2函数的栈底是0x0018FE74;
4.变量有两个,1个int型1E 00 00 00(值为30);1个float型CD CC 74 41(值是15.3f);
5.当前CPU三个寄存器的值分别为0x7EFDE000、0x00000000、0x0018FE74,此时fun3的栈顶被更新为其栈底保存的值。

0x04 写结论

由以上分析,终于可以写结论了,如表

 

这下不止写10条了,老师老师,超额完成任务要奖励哦!

0x05 验证

#include <string.h>

int fun3(int x, float y)
{
    int n = 30;
    float m = 15.3f;
    return 0;
}
int fun2(int x)
{
    int n = 20;
    float m = 14.3f;
    fun3(n, m);
    return 0;
}
int fun1(int *p)
{
    int n = 10;
    float m = 13.8f;    
    fun2(10);
    return 0;
}
int main()
{
    struct tagTest
    {
        char ch;
        float f;
        double d;
        char strBuf[5];
        int n;        
    }test;
    test.ch = 'B';
    test.f = 10.5;
    test.d = 15.6;
    strcpy(test.strBuf, "hell");
    test.n = 10;
    fun1((int *)&test);
    return 0;
}

是不是答对了呢,验证一下吧!
恭喜你已经完成了一次逆向之旅,就是这么简单哦!

 

#


[看雪官方]《安卓高级研修班》线下班,网课(12月)班开始同步招生!!

收藏
点赞9
打赏
分享
最新回复 (29)
雪    币: 479
活跃值: 活跃值 (206)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
猫子 活跃值 2020-8-9 20:19
2
2

我零基础,为什么看不懂

最后于 2020-8-9 20:25 被猫子编辑 ,原因:
雪    币: 276
活跃值: 活跃值 (1742)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
kanxue 活跃值 8 2020-8-9 20:32
3
0
学了1个月逆向能有这水平还是不错的,鼓励一下,继续加油!
雪    币: 1352
活跃值: 活跃值 (821)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
iDreamer 活跃值 1 2020-8-9 20:53
4
0
kanxue 学了1个月逆向能有这水平还是不错的,鼓励一下,继续加油!
感谢您的鼓励,我会继续好好学习、天天向上的!
雪    币: 1352
活跃值: 活跃值 (821)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
iDreamer 活跃值 1 2020-8-9 20:54
5
0
那是我写的还需要改进
雪    币: 2385
活跃值: 活跃值 (213)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
AcheronHana 活跃值 2020-8-9 22:04
6
0
后辈威武,壮哉科锐。
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
追逐_506361 活跃值 2020-8-9 22:23
7
0
给学妹点个赞
雪    币: 29
活跃值: 活跃值 (31)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
月光爱人 活跃值 2020-8-9 22:45
8
0
学妹学的很认真哦  加油
雪    币: 224
活跃值: 活跃值 (104)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
dkxzl 活跃值 1 2020-8-9 22:51
9
2
我0基础为什么看不懂
雪    币: 1352
活跃值: 活跃值 (821)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
iDreamer 活跃值 1 2020-8-9 22:56
10
0
感谢老师教得好
雪    币: 1352
活跃值: 活跃值 (821)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
iDreamer 活跃值 1 2020-8-9 22:57
11
0
多谢鼓励
雪    币: 199
活跃值: 活跃值 (7206)
能力值: ( LV9,RANK:166 )
在线值:
发帖
回帖
粉丝
0x指纹 活跃值 3 2020-8-10 08:22
12
0
点赞,加油!
雪    币: 9196
活跃值: 活跃值 (3868)
能力值: ( LV13,RANK:365 )
在线值:
发帖
回帖
粉丝
TkBinary 活跃值 5 2020-8-10 09:06
13
0
学妹
雪    币: 226
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
旺仔_小可爱 活跃值 2020-8-10 09:32
14
1
厉害厉害呀 嘿嘿嘿
雪    币: 130
活跃值: 活跃值 (38)
能力值: ( LV11,RANK:180 )
在线值:
发帖
回帖
粉丝
besterChen 活跃值 4 2020-8-10 13:59
15
0
虽然我看不懂,但是学妹的这篇文章确实厉害了!
加油!
雪    币: 1
活跃值: 活跃值 (52)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
hipwang 活跃值 2020-8-10 17:14
16
0
雪    币: 78
活跃值: 活跃值 (57)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kinney 活跃值 2020-8-10 18:00
17
0
我找回密码啦~支持支持,写的灰常好~~
雪    币: 9470
活跃值: 活跃值 (88)
能力值: (RANK:190 )
在线值:
发帖
回帖
粉丝
看场雪 活跃值 3 2020-8-10 23:38
18
0
学妹学得真快
雪    币: 90
活跃值: 活跃值 (39)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
黄小付 活跃值 2020-8-11 00:28
19
0
我们做个好朋友吧、嘻嘻嘻
雪    币: 2759
活跃值: 活跃值 (63)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
yjd 活跃值 2020-8-11 01:04
20
0
这是手撕二进制,"0基础"
雪    币: 136
活跃值: 活跃值 (153)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
niuzuoquan 活跃值 2020-8-11 09:16
21
0
感谢分享
雪    币: 3702
活跃值: 活跃值 (266)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kxzpy 活跃值 2020-8-11 09:48
22
0
不错,赞\(≧▽≦)/赞
雪    币: 456
活跃值: 活跃值 (94)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
青丝梦 活跃值 2020-8-11 10:25
23
0
学妹???
雪    币: 288
活跃值: 活跃值 (65)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
切丝怕怕 活跃值 2020-8-12 16:28
24
0
不明觉厉.jpg
雪    币: 1933
活跃值: 活跃值 (161)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
mb_ldtiaylu 活跃值 2020-8-12 16:43
25
0
这也太抽象了
游客
登录 | 注册 方可回帖
返回